Bug-Bounty-Programm
Version 1.3 vom 21. Okt. 2026
Wichtiger Hinweis – Zeitplan für Bug-Bounty-Tests
Aktualisiert: 5. November 2026
Wegen des unerwartet grossen Interesses an unserem Bug-Bounty-Programm führen wir geplante Starttermine für Tests ein. So können wir die Koordination sicherstellen und Schwachstellenmeldungen zeitnah prüfen.
- Bestehende Registrierungen: Forscher, die sich vor dem 21. Oktober 2026 registriert haben, dürfen am oder nach dem 9. November 2026 mit dem Testen beginnen, sofern ihre Teilnahme bestätigt wurde.
- Neue Registrierungen: Forscher, die sich am oder nach dem 21. Oktober 2026 und vor dem 25. Oktober 2026 registrieren, dürfen frühestens am 16. November 2026 mit dem Testen beginnen, vorbehaltlich der Genehmigung der Registrierung.
- Registrierungen ab dem 25. Oktober 2026: Forscher, die sich am 25. Oktober 2026 oder später registrieren, dürfen nicht vor dem 1. Dezember 2026 mit dem Testen beginnen, vorbehaltlich der Genehmigung der Registrierung.
- Bereits begonnene Forschung: Sicherheitsforscher, die sich bereits registriert haben oder die bereits mit dem Testen begonnen und einen Fund gemacht haben, dürfen diesen Fund heute, am 21. Oktober 2026, einreichen. Die Meldung wird angenommen.
Registrierungen bleiben offen. Neue Sicherheitsforscher sind willkommen.
Wichtig: Sicherheitstests dürfen nicht vor dem zugewiesenen Startdatum beginnen und müssen dem Geltungsbereich und den Regeln des Programms entsprechen. Forscher, die bereits eine ausdrückliche Genehmigung zum Testen erhalten haben, dürfen unter dieser bestehenden Genehmigung weiterarbeiten. Sicherheitsforscher, die sich bereits registriert haben oder die bereits begonnen und einen Fund gemacht haben, dürfen diesen Fund heute, am 21. Oktober 2026, einreichen. Die Meldung wird angenommen.
Wir danken der Security-Community für das grosse Interesse, das Verständnis und die weitere Unterstützung dabei, die Sicherheit unserer Dienste zu verbessern.
Wichtiger Hinweis – Funktionen, keine Schwachstellen und bekannte Punkte
Meldungen über eine Funktion oder anderes Verhalten, das keine Sicherheitslücke ist, und Punkte, die uns bekannt sind und die wir nicht beheben, stehen auf einer eigenen Seite. Diese Liste ist von der Hall of Fame getrennt.
Änderungsprotokoll
- 5. Nov. 2026. Version 1.3. Forscher, die sich am 25. Oktober 2026 oder später registrieren, dürfen nicht vor dem 1. Dezember 2026 mit dem Testen beginnen.
- 21. Okt. 2026. Version 1.3. Forscher, die sich bereits registriert haben oder die bereits begonnen und einen Fund gemacht haben, dürfen diesen Fund am 21. Oktober 2026 einreichen. Diese Meldungen werden angenommen.
- 21. Okt. 2026, 09:01:03 UTC. Version 1.3. Geplante Starttermine für Tests, weil das Interesse höher ist als erwartet. Forscher, die sich vor dem 21. Oktober 2026 registriert haben, dürfen am oder nach dem 9. November 2026 mit dem Testen beginnen, sobald die Teilnahme bestätigt ist. Forscher, die sich am oder nach dem 21. Oktober 2026 registrieren, dürfen frühestens am 16. November 2026 beginnen, nach Genehmigung. Tests dürfen nicht vor dem zugewiesenen Datum starten. Forscher mit bereits erteilter ausdrücklicher Genehmigung dürfen weiterarbeiten. Geltungsbereich: im Bereich sind unsere APIs, die DNS-Infrastruktur, Mail- und Webserver sowie Dienste, die wir betreiben und warten, einschliesslich webmail.wservices.ch, gitlab.wservices.ch und agents.wservices.ch, dazu das wcenter Control Panel und die von uns betriebene djangoeurope.com-Infrastruktur. Ausserhalb liegen kundeneigene oder vom Kunden verwaltete Dienste, einschliesslich bestimmter Subdomains von *.wservices.ch und *.djangoeurope.com, alle Websites unter *.sites.djangoeurope.com und die gesamte Domain djangoviet.com. Schwachstellen in Drittsoftware oder Herstellerprodukten liegen ausserhalb, ausser ein verfügbarer Patch ist 3 Tage (Kritisch), 7 Tage (Hoch) oder 30 Tage (Mittel und darunter) nach der offiziellen Veröffentlichung noch nicht eingespielt. Diese Ausnahme gilt nur für Dienste, die sonst im Geltungsbereich liegen. Bei Unsicherheit vor dem Test nachfragen.
- 20. Okt. 2026, 18:39:55 UTC. Version 1.2. Ab dem 21. Oktober 2026, 01:00 UTC, beträgt der Geldbetrag für Hoch 250 € und für Kritisch 500 €, weil bereits viele Funde bestätigt sind und das Belohnungsbudget aufgebraucht ist. Die kostenlosen Hosting-Pläne bleiben unverändert.
- 19. Okt. 2026, 06:51:49 UTC. Version 1.1. aiswarmhive.com zur Liste «Ausserhalb des Geltungsbereichs» hinzugefügt. Das Produkt befindet sich im Alpha-Staging.
Sicherheit ist ein Kernbestandteil von allem, was wir bei wservices tun. Wir laden Sicherheitsforscher ein, Schwachstellen in unserer Infrastruktur und unserem Web-Interface (wcenter) verantwortungsvoll zu entdecken und zu melden. Verifizierte, bisher unbekannte Meldungen werden belohnt.
Geltungsbereich
Im Geltungsbereich
- APIs, DNS-Infrastruktur, Mailserver und Webserver, die wservices betreibt
- Dienste, die wservices betreibt und wartet, einschliesslich webmail.wservices.ch, gitlab.wservices.ch und agents.wservices.ch
- Das wcenter Control Panel
- djangoeurope.com-Hosting-Infrastruktur, die wservices betreibt
Ausserhalb des Geltungsbereichs
- aiswarmhive.com, das sich im Alpha-Staging befindet
- Kundeneigene oder vom Kunden verwaltete Dienste, einschliesslich bestimmter Subdomains unter *.wservices.ch und *.djangoeurope.com. Websites unter *.sites.djangoeurope.com gehören Kunden (melden Sie diese dem jeweiligen Seitenbetreiber)
- Die gesamte Domain djangoviet.com, einschliesslich aller Subdomains
- Dienste und Sub-Prozessoren, die wservices nicht betreibt
- Schwachstellen in Drittsoftware oder Herstellerprodukten, ausser ein verfügbarer Sicherheitspatch ist innerhalb von 3 Tagen (Kritisch), 7 Tagen (Hoch) oder 30 Tagen (Mittel und darunter) nach der offiziellen Veröffentlichung nicht eingespielt. Das gilt nur für Dienste, die sonst im Geltungsbereich liegen, und erlaubt keine Tests kundeneigener Systeme oder ausgeschlossener Domains
- Social Engineering und Phishing unserer Mitarbeitenden oder Kunden
- Physische Angriffe auf Rechenzentren oder Büros
- Denial-of-Service (DoS/DDoS) und volumetrische Angriffe
- Automatisierte Scanner-Ausgaben ohne funktionierenden Proof-of-Concept
Informatorische Funde, die wir nicht akzeptieren
Funde ohne nachweisbare Sicherheitsauswirkung liegen ausserhalb des Geltungsbereichs und werden nicht belohnt. Bitte melden Sie insbesondere Folgendes nicht:
- Fehlende, schwache oder nicht gesetzte HTTP-Sicherheitsheader (Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, X-XSS-Protection und vergleichbare)
- Cookie-Attribute (Secure, HttpOnly, SameSite) ohne nachgewiesene Ausnutzung
- SSL/TLS-Konfigurationshinweise (Cipher-Suites, Protokollversionen, Certificate Pinning, CAA-Records, HSTS-Preload) ohne praktischen Exploit
- SPF-, DKIM- oder DMARC-Probleme, E-Mail-Spoofing und andere Mail-Härtungsempfehlungen
- Clickjacking, CSRF beim Logout, Self-XSS und Probleme, die unwahrscheinliche Nutzerinteraktion erfordern und keine nachgewiesene Auswirkung haben
- Offene Weiterleitungen, Mixed Content, CORS-Fehlkonfigurationen und Host-Header-Probleme ohne nachgewiesenen Datendiebstahl oder Kontoübernahme
- Fehlendes Rate-Limiting, Credential Stuffing oder Benutzername-/E-Mail-Enumeration ohne funktionierenden Bypass bestehender Schutzmassnahmen
- Informationslecks ohne Sicherheitsauswirkung (Softwareversionen, Server-Banner, öffentliche Verzeichnislisten, ausführliche Fehlermeldungen ohne Geheimnisse)
- Best-Practice- oder Härtungsempfehlungen, theoretische Probleme und Funde, die nur veraltete Browser betreffen
Der Ablauf
- 1
Registrierung
Registrieren Sie Ihre Absicht per E-Mail an security@wservices.ch mit Ihrem Namen oder Handle und einer kurzen Beschreibung Ihres Forschungsschwerpunkts. Sie erhalten eine Bestätigung und eine Melde-Referenz. Die Bestätigung ist keine Erlaubnis, vor dem zugewiesenen Startdatum zu testen.
- 2
Testen
Beginnen Sie nicht vor dem Startdatum im Testzeitplan oben. Forscher mit bereits erteilter ausdrücklicher Genehmigung dürfen weiterarbeiten. Sicherheitsforscher, die sich bereits registriert haben oder die bereits begonnen und einen Fund gemacht haben, dürfen diesen Fund heute, am 21. Oktober 2026, einreichen. Die Meldung wird angenommen. Testen Sie ausschliesslich Ziele im Geltungsbereich. Wenn Sie unsicher sind, ob eine Domain, Subdomain oder ein Dienst im Geltungsbereich liegt, kontaktieren Sie security@wservices.ch und warten Sie die Bestätigung ab, bevor Sie testen. Greifen Sie niemals auf fremde Daten zu, verändern oder zerstören Sie diese. Verwenden Sie ein dediziertes Testkonto, das Sie selbst kontrollieren, nennen Sie uns diese Adresse in der Meldung und bestätigen Sie, wenn Sie fertig sind, damit wir aufräumen können. Kein DoS, kein Spam, kein automatisiertes Massen-Scanning.
- 3
Übermittlung (Meldung)
Reichen Sie eine detaillierte Meldung an security@wservices.ch ein, mit betroffenem Ziel/URL, Art der Schwachstelle, Schritt-für-Schritt-Reproduktion, einem funktionierenden Proof-of-Concept, einer Auswirkungsbeurteilung und allfälligen Vorschlägen zur Behebung. Fügen Sie die genaue Anfrage und die beobachtete Serverantwort an der beanspruchten Grenze bei (zum Beispiel die Fehlermeldung, wenn ein bereits verwendeter oder abgelaufener Token eingereicht wird). Warten ohne diese Antwort ist kein Nachweis fehlender Ablaufzeit. Verschlüsseln Sie sensible Meldungen auf Wunsch mit unserem PGP-Schlüssel.
- 4
Sichtung & Validierung
Wir bestätigen Ihre Meldung innerhalb von 3 Werktagen. Ein Sichtungsergebnis (angenommen oder nicht, und Schweregrad) streben wir innerhalb von 10 Werktagen an. Eingereichte CVSS-Scores werden aus der realistischen Ausgangslage des Angreifers neu bewertet, nicht nach dem gemeldeten Vektor. Wir können Sie für Rückfragen kontaktieren.
- 5
Behebung
Wir beheben bestätigte Probleme und halten Sie über den Fortschritt auf dem Laufenden. Bitte gewähren Sie eine angemessene Frist zur Behebung, bevor eine öffentliche Offenlegung erfolgt (koordinierte Offenlegung, 90 Tage empfohlen).
- 6
Belohnung
Sobald das Problem behoben und verifiziert ist, streben wir die Entscheidung über Anerkennung und Belohnung innerhalb von 10 Werktagen an (siehe unten).
Belohnungen
Wir bewerten Funde nach CVSS 3.1 Base Score. Eingereichte Scores werden bei der Sichtung neu bewertet — aus der realistischen Ausgangslage des Angreifers, nicht nach dem gemeldeten Vektor. Belohnungen werden nach Ermessen von wservices auf Grundlage dieser Bewertung, der Auswirkung und der Qualität der Meldung gewährt. Duplikate werden nur dem ersten Melder gutgeschrieben.
| Schweregrad / Fund | Belohnung |
|---|---|
Niedriger Schweregrad Begrenzte Auswirkung, keine Kontoübernahme. Beispiele: XSS auf einer öffentlichen Marketing-Seite, CSRF bei einer unkritischen Einstellung, offene Weiterleitung ohne Session-Diebstahl, Offenlegung unkritischer Konfiguration. | Ein Jahr eines kostenlosen djangoeurope-X10-Plans. |
Mittlerer Schweregrad Zugriff auf ein einzelnes Konto oder begrenzte Kundendaten. Beispiele: XSS in wcenter, das eine Session stehlen kann, IDOR auf Tickets eines anderen Kunden, CSRF, der die E-Mail-Weiterleitung oder ein Passwort ändert, SSRF auf einen internen HTTP-Dienst ohne Zugangsdaten. | Ein Jahr eines kostenlosen djangoeurope-X12-Plans. |
Hoher Schweregrad Zugriff auf Daten anderer Kunden, Admin-Kontrolle oder lokales root aus einem unprivilegierten SSH-Konto nach dem 3-Tage-CVE-Fenster. Beispiele: SQL-Injection auf Kundendatenbanken, Authentifizierungs-Bypass oder Kontoübernahme beliebiger Nutzer, unautorisierter wcenter-Admin, Zugriff auf Backups oder Postfächer anderer Kunden, funktionierender lokaler root-Exploit aus einem unprivilegierten SSH-Benutzer, wenn die CVE seit mehr als 3 Tagen ungepatcht ist. Zählt nicht: ein Kunde, der sein Home-Verzeichnis (/home/username) selbst auf chmod 755 (oder anderweitig weltlesbar) gesetzt hat. Das ist eine Entscheidung des Kunden, die wir nicht kontrollieren können. | 250 €, plus ein Jahr eines kostenlosen djangoeurope-X14-Plans. |
Kritisch — Remote Code Execution als root (root RCE) Remote Code Execution als root auf Produktivsystemen im Geltungsbereich, ohne bestehendes SSH-Login. Beispiele: unauthentifiziertes remote root-RCE auf der Hosting-Flotte, dem wcenter-Host oder Mail-/DNS-Servern; eine Exploit-Kette, die eine remote root-Shell liefert. Lokales root aus einem unprivilegierten SSH-Konto ist Hoch, nicht Kritisch. | 500 €, plus ein Jahr eines kostenlosen djangoeurope-X16-Plans. |
Zusätzlich gilt für jeden gültigen, bisher unbekannten Fund in den Kategorien Niedrig, Mittel, Hoch oder Kritisch: öffentliche Anerkennung in unserer Security Hall of Fame.
Meldungen, die eine Funktion oder anderes Verhalten beschreiben, das keine Sicherheitslücke ist, und Punkte, die uns bekannt sind und die wir nicht beheben, stehen separat. Weitere Meldungen.
Regeln & Safe Harbor
- Beginnen Sie nicht mit Sicherheitstests vor dem Ihnen zugewiesenen Startdatum. Tests müssen dem Zeitplan, dem Geltungsbereich und den Regeln auf dieser Seite folgen. Forscher, die bereits eine ausdrückliche Genehmigung erhalten haben, dürfen unter dieser Genehmigung weiterarbeiten. Sicherheitsforscher, die sich bereits registriert haben oder die bereits begonnen und einen Fund gemacht haben, dürfen diesen Fund heute, am 21. Oktober 2026, einreichen. Die Meldung wird angenommen.
- Befolgen Sie eine verantwortungsvolle, koordinierte Offenlegung; legen Sie einen Fund nicht öffentlich offen, bevor wir ihn behoben und die Offenlegung vereinbart haben.
- Verletzen Sie nicht die Privatsphäre unserer Nutzer, beeinträchtigen Sie nicht unsere Dienste und zerstören Sie keine Daten.
- Reichen Sie nur Probleme mit funktionierendem Proof-of-Concept und klarer Sicherheitsauswirkung ein. Informatorische Funde, fehlende Header und reine Scanner-Meldungen sind nicht belohnungsfähig.
- Schwachstellen in Drittsoftware oder Herstellerprodukten liegen ausserhalb des Geltungsbereichs, ausser ein verfügbarer Sicherheitspatch ist innerhalb von 3 Tagen (Kritisch), 7 Tagen (Hoch) oder 30 Tagen (Mittel und darunter) nach der offiziellen Veröffentlichung nicht eingespielt. Das gilt nur für Dienste, die sonst im Geltungsbereich liegen. Es erlaubt keine Tests kundeneigener Systeme oder ausgeschlossener Domains.
- Das Erlangen von root-Rechten ausgehend von einem unprivilegierten SSH-Benutzer (funktionierender lokaler root-Exploit) anhand eines bekannten Bugs zählt nicht in den ersten 3 Tagen nach Veröffentlichung der CVE. Danach, wenn der Host weiterhin ungepatcht ist und das Ziel sonst im Geltungsbereich liegt, gilt das als hoher Schweregrad — nicht als kritisch.
- Wenn Sie unsicher sind, ob eine Domain, Subdomain oder ein Dienst im Geltungsbereich liegt, kontaktieren Sie security@wservices.ch und warten Sie die Bestätigung ab, bevor Sie testen.
- Halten Sie jederzeit das Schweizer Recht und diese Programmregeln ein.
- Gutgläubige Sicherheitsforschung im Rahmen dieser Regeln führt zu keinen rechtlichen Schritten seitens wservices.
Kontakt
Bitte senden Sie alle Meldungen, Registrierungsanfragen und Fragen zum Geltungsbereich an unser Security-Team.
security@wservices.ch